NIST SP 800-218 (SSDF):

Übersicht

NIST SP 800-218 v1.1 (Februar 2022) definiert das „Secure Software Development Framework“ (SSDF): eine Reihe ergebnisorientierter Vorgehensweisen – keine verbindliche Checkliste –, die in vier Bereiche gegliedert sind: Vorbereitung der Organisation, Schutz der Software, Erstellung gut gesicherter Software und Reaktion auf Schwachstellen. Die Executive Order 14028 und die daraus resultierenden OMB-Memoranden machten die Einhaltung des SSDF zur Voraussetzung für den Verkauf von „ software “ an die Bundesregierung.

Die Hersteller müssen das von der CISA bereitgestellte Bescheinigungsformular unterzeichnen, und der Geschäftsführer oder ein bevollmächtigter Vertreter bestätigt nach bestem Wissen und Gewissen, dass die Vorgaben eingehalten werden. Da das Rahmenwerk kein formelles Zertifizierungsverfahren durch Dritte vorsieht, stützt sich der Nachweis der Konformität auf interne Belege und Bescheinigungen statt auf ein Audit-Zertifikat. Damit liegt es in der Verantwortung der Organisation, Belege aufzubewahren, die im Falle einer Anfechtung der Bescheinigung Bestand hätten.

Warum das wichtig ist

Die Bescheinigung ist zwar eine Selbsterklärung, stellt jedoch eine formelle, rechtlich bedeutsame Erklärung dar: Vom Unterzeichner wird erwartet, dass er ausreichende Nachweise aufbewahrt, um die Bescheinigung im Falle einer Anfechtung verteidigen zu können, und eine falsche Bescheinigung zieht eine Haftung nach dem „False Claims Act“ nach sich – eine Konsequenz, die wesentlich schwerwiegendere Folgen hat als ein typischer Compliance-Verstoß.

PS.2 und PS.3 – der Schutz von Code vor Manipulationen und die Bereitstellung eines Mechanismus zur Überprüfung der Integrität von Releases – gehören zu den Verfahren, die den größten Nachweisaufwand erfordern, und sie entsprechen direkt den Funktionen der Codesignierung und der Nachverfolgbarkeit von Builds, die viele Hersteller von „ software “ noch nicht formalisiert haben. SSDF hat sich zudem zum Referenzvokabular entwickelt, das Käufer außerhalb des öffentlichen Sektors in Sicherheitsfragebögen für Anbieter verwenden, sodass sich Lücken in diesem Bereich zunehmend sowohl in kommerziellen als auch in behördlichen Verkaufsprozessen bemerkbar machen.

Wie sich dies auf die Kryptografie auswirkt 

NIST SP 800-218 (SSDF) befasst sich mit Kryptografie anhand mehrerer miteinander verknüpfter Kontrollbereiche. Die wichtigsten Bereiche mit direkten kryptografischen Auswirkungen sind:

Prüfungsbereitschaft

Bewertungen und Prüfungen – unabhängig davon, ob sie intern durchgeführt, von einer Aufsichtsbehörde vorgenommen oder von einem unabhängigen Gutachter überprüft werden – konzentrieren sich auf nachgewiesene Fakten und nicht allein auf Grundsatzerklärungen. Zu den wichtigsten Bereichen, die Prüfer und Gutachter üblicherweise untersuchen, gehören:

• Nachweisunterlagen zur Bescheinigung: Kann die Organisation die ihrer CISA-Bescheinigung zugrunde liegenden Nachweise vorlegen, nicht nur das unterzeichnete Formular selbst?
• Schutz von Code-Signing-Schlüsseln: Sind Code-Signing-Schlüssel vor unbefugtem Zugriff geschützt, und ist der Zugriff auf autorisierte Build-Systeme und autorisiertes Personal beschränkt?
• Mechanismus zur Überprüfung der Integrität einer Veröffentlichung: Gibt es einen funktionierenden Mechanismus – und nicht nur eine Grundsatzerklärung –, mit dem ein Verbraucher überprüfen kann, ob eine Veröffentlichung mit dem übereinstimmt, was der Urheber veröffentlicht hat?
• Nachweis der Zugriffskontrolle in der Build-Pipeline: Ist der Zugriff auf die Quellcode-, Build- und Release-Infrastruktur so eingeschränkt und protokolliert, dass er die PS.2-Bescheinigung unterstützt?
• SBOM und Herkunftsbescheinigung: Sind die Stücklisten ( Software ) und Herkunftsbescheinigungen signiert, sodass bei Bekanntwerden einer Sicherheitslücke in einer Komponente eine schnelle Überprüfung möglich ist?
• Rechtshaltigkeit der Bescheinigung des Vorstandsvorsitzenden/Beauftragten: Würden die vorliegenden Beweise die Bescheinigung tatsächlich stützen, wenn sie angefochten würde, anstatt einfach davon auszugehen, dass sie ausreichend ist?

LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER

Wenn wir die CISA-Bescheinigung einreichen, unterzeichnet unser CEO oder ein bevollmächtigter Vertreter persönlich ein rechtswirksames Dokument, und diese Unterschrift ist nur so stichhaltig wie die ihr zugrunde liegenden Nachweise. PS.2 und PS.3 – der Schutz unseres Codes und der Nachweis der Integrität der Veröffentlichung – sind genau die Anforderungen, für deren Erfüllung die Code-Signierung und die Schlüsselverwaltung entwickelt wurden. Es handelt sich also nicht um eine neue Funktion, die es zu entwickeln gilt, sondern um Nachweise, bei denen wir möglicherweise bereits fast am Ziel sind – sofern wir sie vorlegen können.

Dies ist längst nicht mehr nur eine Anforderung der Regierung. Auch kommerzielle Käufer, insbesondere aus den Bereichen Finanzen und Gesundheitswesen, fragen mittlerweile in Anbieterfragebögen nach der SSDF-Konformität. Das bedeutet, dass uns eine Lücke in diesem Bereich in Verkaufsprozessen Kosten verursacht, die wir überhaupt nicht mit dem Bundesbereich in Verbindung bringen. Wenn wir unsere Code-Signierung und Herkunftsnachweise einmal klar geregelt haben, werden beide Zielgruppen zufrieden gestellt.